Ці навушники з'єднаються з незнайомцем, і встановити оновлення неможливо

Створення пари через Bluetooth має вимагати вашої згоди. Ви утримуєте кнопку, блимає світлодіод, ви підтверджуєте на телефоні. Skullcandy Dime 3 цей крок пропускають. Восьмого вересня CERT Coordination Center при Університеті Карнегі-Меллона опублікував попередження VU#859658, підтвердивши, що Dime 3, модель S2DCW, із прошивкою 1.0.0.28 приймають запит на з'єднання Bluetooth від пристрою, якого ніколи не бачили, при цьому навушники не переводили в режим створення пари і ніхто нічого не натискав на кейсі.

Що це дає зловмиснику в радіусі дії: він може втрутитися у ваше поточне з'єднання, перехопити відтворення, дістатися профілю гарнітури й записувати живий звук із мікрофона навушників. Без попереднього з'єднання, без фізичного доступу, без жодної дії з вашого боку. Вразливість має номер CVE-2025-20701 і міститься в Bluetooth-аудіо SDK компанії Airoha, програмному пакеті для чипсетів, який трапляється в багатьох недорогих бездротових навушниках.

Далі незручна частина. Airoha виправила це в прошивці 1.0.0.30, випущеній 4 серпня 2025 року, понад рік тому. Skullcandy підтвердила, що Dime 3 не можна оновити через застосунок Skullcandy, а CERT/CC пише, що для покупця не існує способу перевести вже придбану пару з 1.0.0.28 на виправлену версію. На дату попередження центр не отримав жодної заяви від виробника. Якщо у вас є ці навушники, у вас є зламана версія.

На практиці лишається дві речі. Тримайте їх у кейсі, коли не слухаєте, бо вимкненими їх не з'єднати. І сприймайте сповіщення "додано новий пристрій" серйозно, а не як випадковий збій, бо це єдиний сигнал, який жертва взагалі отримує. Tendvane не дістанеться всередину навушників, але комп'ютерний бік вашого бездротового зв'язку це інша справа: автоматичне оновлення драйверів тримає драйвери Bluetooth і Wi-Fi свіжими, і саме туди приходять виправлення з цього боку з'єднання.